医療団体、ITベンダーに「サイバー被害の一部を負担するべき」と提言 情報提供不足なら契約になくても責任求める

医療政策の企画立案などを目的とする日本医師会総合政策研究機構（日医総研）が8月24日に公開した文書が、SNS上で物議を醸している。医療機関とシステムベンダーの契約と責任分担に関するもので、「信義誠実の原則」を理由に「ベンダーのリスク説明が不足している場合、契約に記述がなくても、医療機関側から一定の責任を問える可能性がある」との内容が記されている。 文書のタイトルは「サイバー事故に関し システムベンダーが負う責任：医療DXを推進するために」。医療機関とベンダーには専門知識の格差があることなどから、「システムベンダーは信義誠実の原則に基づく不随義務として、医療機関が安全管理義務を履行するために必要な情報を適切に提供する義務を負う」との見方を示している。 「信義誠実の原則」とは「互いに信頼を裏切らないよう行動すべき」とする法原則。既知の脆弱性についてベンダーが適切に情報提供しない状態で、その脆弱

[n593977]

病気になったら病院は被害の一部を負担してくれるのか？

[augsUK]

MRと医師の関係みたいなまさに権力勾配に基づく関係に慣れてるのだろうけど、こういうのは契約に盛り込んでその分の費用を払うという常識に慣れてほしい。

[paradisemaker]

責任負わせるのはいいけど、コストに転換されて設備投資が大変になるだけだよ。「医者は手術後の経過について患者が診察に来なくても責任を持て」って言われたらどうするんだろうね。

[glizmo]

金さえ払えばITベンダーは喜んでやってくれるのでは？

[secseek]

めちゃくちゃ言ってますねえ。契約に入れればいいだけでしょうに

[yamuchagold]

例に挙がってるサイバー被害、医療機関側がまともな保守契約結んでなかったパターンでは。ケチられてるのに情報不足だとゴネられたらベンダーは堪らんわね。

[xanaduuu]

医療機関でグループつくってセキュリティ人材をきちんと雇ったり、そこが監査行うのが良いのではないだろう。医療機関だけでなく、自治体とか公的機関もそうするしかないんじゃなかろうか。

[poliphilus]

ITベンダーがシステムの脆弱性を全部把握してるとでも思ってるのか？　把握してたら潰してるわ（開き直り）

[mixvox-j]

燃料なのは分かるが、元ネタには「特定の攻撃手法が既に広く世間に周知され、かつ実際に被害も頻発しているようなケース」とあるので、いざ裁判になったらどうなるのか気にはなっている。

[usurausura]

背景事情としてJPCERT/CCブログの2022/7/14記事を読むことをお勧めします→なぜ、SSL-VPN製品の脆弱性は放置されるのか ～“サプライチェーン”攻撃という言葉の陰で見過ごされている攻撃原因について～id:entry:4722371809343061570

[evamatisse]

無期限の保守契約してるようなもんなのでその分の金取るだけでは。

[nicht-sein]

情報提供契約をいれたら価格があがるからそれは嫌で、契約いれなくても情報提供の義務があると解釈を変えます宣言？いや、それは素直に契約にいれようよ

[hkanemat]

医療団体側でも継続的なセキュリティ対策や維持メンテが必要ということに気がついたのであれば、利用者側の理解が一歩進んだと言えるだろう。サービス側はサブスクでサービス提供すればいいんじゃね。

[mosriteowner]

ベンダー側からガッチガチの条件提示がされると見た。ウチみたいにオーダリングシステムで打ち込んでるそばでアンチウイルスソフトの期限切れメッセージが付いたり消えたりしているところは（以下自粛

[spiral]

ITがどういうもので使用者がどう振る舞わなければならないのかということを広く共通認識として共有しないとだめか。

[sawarabi0130]

誤診や見つけられなかった異常があって病気になったり他の医療機関で見つかった場合にその金額の一部を負担してくれるのか？情報提供不足なら責任を求めていいってことだよね？

[mainyaa]

ちゃんと契約書を交わしてセキュリティにお金を払うべきでは・・・

[karkwind]

こういう保険、なかったっけ？

[satoko_szk]

医療業界の人達は、全国民から年収の約1割を自動徴収する医療保険の仕組みの上で生きているから、通常のビジネスモデルを理解できていないんだろうな。

[tohima]

サイバー保険に入れば解決なんじゃないの、無償で負担しろって言ってるわけでもないんだよね…無償なの？？

[KoshianX]

まあいいんじゃない。こういうことしてたら費用を上乗せしていくことになるわけで、内製したほうが安くなることに気づくでしょ。ソフトウェアは基本的には「使う人」が作るべきだと思うんだよな

[REV]

　「わぁい徳政令 あかり徳政令大好き」

[Lat]

自分のところで対応できる人材を確保すれば良いだけだよね？もしくはシステムのリースを人付きリースとして製品のアップデートや脆弱性対応などを請け負わせれば良いだけだよ？お役所とかは昔からやってるでしょ？

[defiant]

この記事をおすすめしました

[spark7]

脆弱性の情報提供を行えば免責されるようにも見えるが。脆弱性を知ってて隠してたら責任が発生するってことでは。情報提供＝対策パッチ提供って意味ならお手上げだが。

[yukimi1977]

契約にもない責任まで求められるなら、そのリスクを含んだ金額を提示するしかないので、いずれにしろ病院側の負担が求められる。責任範囲を明確にした契約を結んだ方が結果安くつく気がするんですが。

[yhachisu]

契約に入れても、誰も読まない脆弱性情報メルマガが送られるだけかも。

[doroyamada]

「医療機関がセキュリティ対策を求めれば契約料の増額を求められるだろうとして、費用負担は行政が支援するべきとしている」が一番インパクトある。

[asuiahuei]

病院、学校、公共って、本当に常識無い客だからね。

[zoidstown]

お金払えばいいだけでは・・・・

[daybeforeyesterday]

うーむ

[tsz]

システムに関係あるCVEを一件一件垂れ流すぞぅ

[minamihiroharu]

ブコメで紹介されていたこのブログ記事が参考になった。　https://blogs.jpcert.or.jp/ja/2022/07/ssl-vpn.html

[favoriteonline]

信義誠実とやらで患者も無償で治療してね

[mohno]

その分、コストアップしますね、という話ではあるけど、認知症のトラブルとか医療にも過剰な対応が求められがちだから意趣返しなのかも。

[gairasu]

”ベンダーのリスク説明が不足している場合”何を基準としての不足なのかな？私達が理解するまでとか言い出したら一生不足してるわ

[tanority]

リテラシー教育の丸投げ？

[uturi]

“医療機関がセキュリティ対策を求めれば契約料の増額を求められるだろうとして、費用負担は行政が支援するべきとしている。” ベンダー側に喧嘩売っておきながら費用は行政が持てとかヤバすぎる

[kagehiens]

セキュリティは十分な情報提供の線引きが難しいなぁ・・・。でもSI業界の簡単にできることだけやりますって契約書(なおお値段だけ立派)を交わそうとする体質も恨みを買う要素十分にあるし、どっちの肩も持ちづらい。

[togusa5]

IT系の臨床工学技士資格作ったら？